CVE-2026-53649

Joro veb istismar freymvorkudur. Versiya 1.1.1-dən əvvəl Joro-nun standart proksi rejimi 127.0.0.1:9090 ünvanında heç bir autentifikasiya tələb etməyən və wildcard CORS siyasətini tətbiq edən lokal API təqdim edir. Plugin yükləmələri CORS-safe-list-ə daxil olan multipart/form-data məzmun tipindən istifadə etdiyi üçün, operatorun ziyarət etdiyi hər hansı səhifədəki cross-origin JavaScript kodu, heç bir preflight sorğusu və ya etibarnamə olmadan, birbaşa operatorun brauzeri vasitəsilə imtiyazlı son nöqtələrə — o cümlədən yerli plugin yükləməyə və yenidən başlatmağı tetikləməyə — müraciət edə bilər. Pluginlər yükləndiyi an icra olunduğu üçün bu, tək bir səhifə ziyarəti ilə operatorun istifadəçisi kimi autentifikasiyasız uzaqdan kodun icrasına gətirib çıxarır. Bu problem versiya 1.1.1-də aradan qaldırılmışdır.